Depuis l'entrée en application progressive de l'IA Act, une constante revient dans nos audits : la grande majorité des organisations sous-estiment ou surestiment la catégorie de risque de leurs systèmes. Or cette qualification conditionne l'intégralité des obligations.
La tentation est double. Certaines équipes minimisent — un système classé « risque limité » alors qu'il relève du « haut risque » — et découvrent trop tard l'ampleur des exigences documentaires. D'autres surclassent par prudence, et s'imposent des contraintes coûteuses sans valeur ajoutée réglementaire. Les deux erreurs ont un coût.
Quatre catégories, des conséquences radicalement différentes
L'IA Act repose sur une approche par les risques. Chaque catégorie déclenche un régime d'obligations propre — de l'absence de contrainte à l'interdiction pure et simple. Comprendre où se situe votre système est le préalable à toute stratégie de conformité.
- Risque inacceptable — pratiques interdites (notation sociale, manipulation comportementale).
- Haut risque — obligations lourdes : gestion des risques, gouvernance des données, documentation technique, supervision humaine.
- Risque limité — obligations de transparence (information de l'utilisateur).
- Risque minimal — aucune obligation spécifique.
La qualification n'est pas un exercice ponctuel : un système évolue, et un changement d'usage peut faire basculer une IA « à risque limité » vers le « haut risque ». La classification doit être versionnée et réévaluée.
La méthode Corpedys : qualifier avant de coder
Nous appliquons le principe de Compliance by Design : la qualification intervient dès la conception, pas en fin de cycle. Concrètement, cela signifie cartographier les usages réels, anticiper les évolutions de périmètre, et documenter la décision de classification de manière opposable.
« Une qualification mal documentée n'est pas une qualification. C'est un risque que l'on découvre lors du contrôle. »
Les trois points de vigilance
Au-delà de la grille théorique, l'expérience des contrôles fait apparaître des angles morts récurrents. Nous les traitons systématiquement dans nos missions de qualification.
En structurant la qualification comme un livrable documenté et réévaluable, l'organisation transforme une obligation en actif : un dossier opposable aux autorités, et un argument de confiance vis-à-vis de ses clients. C'est tout l'objet de l'ingénierie réglementaire.